Java プログラムでの SQL インジェクション攻撃の防止

Question

データベース テーブルを更新するには、Java プログラムにステートメントを追加する必要があります:

リーリー

これは SQL インジェクションを介して悪用される可能性があると聞きました。例:

リーリー

私のプログラムには Java GUI があり、名前、アドレス、電子メールの値はすべて Jtextfields から取得されます。次のコード (DROP TABLE customer;) を挿入ステートメントに追加する方法と、これを防ぐ方法を知りたいです。

Answer 1

＃＃＃例えば：＃＃＃ リーリー

は、この値を

insert

に挿入します: リーリー 準備されたステートメントと SQL パラメーターの使用 (Matt Fellows からの「盗む」例):

リーリー

また、そのような変数の値を解析し、許可されていない文字 (名前に「;」など) が含まれていないことを確認します。

Answer 2

PreparedStatementを使用する必要があります。 例えば＃＃＃ リーリー

これにより、インジェクション攻撃が防止されます。

ハッカーがこれを組み込む方法は、挿入する文字列がどこかの入力 (Web ページの入力フィールド、アプリなどのフォームの入力フィールドなど) からのものである場合です。